← Österreich

{'item': 'DSB-D216.697/0011-DSB/2018'}

RIS Dokument Entscheidende BehördeDatenschutzbehörde Entscheidungsdatum26.11.2018 GeschäftszahlDSB-D216.697/0011-DSB/2018 Anfechtung beim BVwG/VwGH/VfGHDieser Bescheid ist rechtskräftig. TextGZ DSB-D2

§ 1

DSG fallen“.Darüber hinaus werde der Antrag gestellt, bescheidmäßig festzustellen, dass „der Logfile Erlass des BMF vom 21. Juni 2017 BMF-320700/0004-I/1/2017 auf Basis des DSG gesetzwidrig ist, da er auch juristische Personen und Personengesellschaften umfasst, welche

Paragraph eins, DSG fallen“.

  1. Der Beschwerdegegner entgegnete mit Stellungnahme vom
  2. September 2018 zusammengefasst, dass der Sachverhalt in den zeitlichen Anwendungsbereich des DSG 2000 und somit vor Ergehen der DSGVO falle. In materiell-rechtlicher Sicht wären daher die Bestimmungen des DSG 2000 anzuwenden. Unter Vermerk auf die Judikatur der DSK sei die Verwendung von Protokolldaten zu Zwecken der Kontrolle der Zulässigkeit der Verwendung des Datenbestandes nach § 14 Abs. 4 DSG 2000 zulässig und läge eine Verletzung des Grundrechts auf Datenschutz des betroffenen Mitarbeiters durch das durch § 14 Abs. 2 Z 7 DSG 2000 gerechtfertigte Screening gegenüber dem Beschwerdeführer, insbesondere auch im Hinblick auf § 8 Abs. 3 Z 6 DSG 2000, nicht vor. Darüber hinaus sei aus der Zuständigkeit der Datenschutzbehörde für Angelegenheiten des Datenschutzes keine Kontrollbefugnis gegenüber anderen Behörden abzuleiten. Es entspreche auch der Judikatur des OGH zu § 85 GOG, dass eine Datenverwendung in einem Gerichtsverfahren dann gerechtfertigt ist, wenn die Daten einen denkmöglichen Verfahrensgegenstand darstellen, es jedoch nicht Zweck des Verfahrens nach § 85 GOG ist, das vorgelagerte Gerichtsverfahren zu kontrollieren. Die umfangreichen Ausführungen des Beschwerdeführers zum dienstrechtlichen Verfahren würden daher ins Leere gehen, weil es nicht Sache der Datenschutzbehörde sei, dieses Verfahren zu kontrollieren.
  3. Der Beschwerdegegner entgegnete mit Stellungnahme vom
  4. September 2018 zusammengefasst, dass der Sachverhalt in den zeitlichen Anwendungsbereich des DSG 2000 und somit vor Ergehen der DSGVO falle. In materiell-rechtlicher Sicht wären daher die Bestimmungen des DSG 2000 anzuwenden. Unter Vermerk auf die Judikatur der DSK sei die Verwendung von Protokolldaten zu Zwecken der Kontrolle der Zulässigkeit der Verwendung des Datenbestandes nach Paragraph 14, Absatz 4, DSG 2000 zulässig und läge eine Verletzung des Grundrechts auf Datenschutz des betroffenen Mitarbeiters durch das durch Paragraph 14, Absatz 2, Ziffer 7, DSG 2000 gerechtfertigte Screening gegenüber dem Beschwerdeführer, insbesondere auch im Hinblick auf Paragraph 8, Absatz 3, Ziffer 6, DSG 2000, nicht vor. Darüber hinaus sei aus der Zuständigkeit der Datenschutzbehörde für Angelegenheiten des Datenschutzes keine Kontrollbefugnis gegenüber anderen Behörden abzuleiten. Es entspreche auch der Judikatur des OGH zu Paragraph 85, GOG, dass eine Datenverwendung in einem Gerichtsverfahren dann gerechtfertigt ist, wenn die Daten einen denkmöglichen Verfahrensgegenstand darstellen, es jedoch nicht Zweck des Verfahrens nach Paragraph 85, GOG ist, das vorgelagerte Gerichtsverfahren zu kontrollieren. Die umfangreichen Ausführungen des Beschwerdeführers zum dienstrechtlichen Verfahren würden daher ins Leere gehen, weil es nicht Sache der Datenschutzbehörde sei, dieses Verfahren zu kontrollieren. Entgegen den Ausführungen des Beschwerdeführers würden im AIS sehr wohl personenbezogene Daten erfasst werden. So habe sich die DSK bereits mit Beschwerden im Zusammenhang mit dem AIS befasst und diese inhaltlich unter Anwendung des DSG 2000 entschieden. Die seitens des Beschwerdeführers erwähnte Entscheidung des Unabhängigen Finanzsenates treffe Aussagen zur Verwertung von Daten aus dem „AIS-DB“ als Beweismittel im Abgabenverfahren, aus denen keinesfalls abgeleitet werden könne, dass im AIS keine personenbezogenen Daten enthalten wären. Am
  5. Oktober 2017 habe der Beschwerdegegner eine Überprüfung der von Mitarbeitern des Finanzressorts getätigten Zugriffe auf das AIS hinsichtlich eines bestimmten Steuerpflichtigen und sämtlicher juristischer Personen, an denen dieser Steuerpflichtige beteiligt gewesen sei, veranlasst. Angemerkt werde, dass eine Sachverhaltsdarstellung an die WKStA am
  6. Oktober 2017 ergangen wäre (betreffend UT wegen § 310 StGB). Die Einstellung des Ermittlungsverfahrens gegen den Beschwerdeführer wegen § 302 StGB sei mit Verständigung der StA Wien vom
  7. April 2018 erfolgt. Hintergrund dieser durch den Beschwerdegegner am
  8. Oktober 2017 veranlassten Überprüfung der getätigten AIS-Zugriffe sei, dass – nachdem ein Abgeordneter zum Nationalrat exakte Steuerdaten dieses Steuerpflichtigen öffentlich gemacht habe – der Verdacht bestanden habe, dass Mitarbeiter des Beschwerdegegners unzulässige Zugriffe auf den Datenbestand des AIS hinsichtlich dieses Steuerpflichtigen getätigt hätten, weshalb auch der Anfangsverdacht hinsichtlich strafbarer Handlungen bestanden habe. Zwangsläufig ergebe sich bei unzulässigem Zugriff auf Datenbestände des AIS auch der Verdacht des Vorliegens einer Dienstpflichtverletztung iSd §§ 43 f BDG
  9. Darin einen durch den Beschwerdegegner erteilten Ermittlungsauftrag nach dem § 310 StGB „unter dem Deckmantel der Logfileauswertungen nach dem DSG 2000“ zu sehen sei ebenso verfehlt wie die Unterstellung, in diesem durchgeführten Prüfungsverfahren (Prüfung mittels Logfileanlayse, ob nicht dienstlich veranlasste Zugriffe auf Steuerdaten eines Abgabepflichtigen erfolgt wären) sei ein strafgesetzwidriges Vorgehen zu erkennen.Am
  10. Oktober 2017 habe der Beschwerdegegner eine Überprüfung der von Mitarbeitern des Finanzressorts getätigten Zugriffe auf das AIS hinsichtlich eines bestimmten Steuerpflichtigen und sämtlicher juristischer Personen, an denen dieser Steuerpflichtige beteiligt gewesen sei, veranlasst. Angemerkt werde, dass eine Sachverhaltsdarstellung an die WKStA am
  11. Oktober 2017 ergangen wäre (betreffend UT wegen Paragraph 310, StGB). Die Einstellung des Ermittlungsverfahrens gegen den Beschwerdeführer wegen Paragraph 302, StGB sei mit Verständigung der StA Wien vom
  12. April 2018 erfolgt. Hintergrund dieser durch den Beschwerdegegner am
  13. Oktober 2017 veranlassten Überprüfung der getätigten AIS-Zugriffe sei, dass – nachdem ein Abgeordneter zum Nationalrat exakte Steuerdaten dieses Steuerpflichtigen öffentlich gemacht habe – der Verdacht bestanden habe, dass Mitarbeiter des Beschwerdegegners unzulässige Zugriffe auf den Datenbestand des AIS hinsichtlich dieses Steuerpflichtigen getätigt hätten, weshalb auch der Anfangsverdacht hinsichtlich strafbarer Handlungen bestanden habe. Zwangsläufig ergebe sich bei unzulässigem Zugriff auf Datenbestände des AIS auch der Verdacht des Vorliegens einer Dienstpflichtverletztung iSd Paragraphen 43, f BDG
  14. Darin einen durch den Beschwerdegegner erteilten Ermittlungsauftrag nach dem Paragraph 310, StGB „unter dem Deckmantel der Logfileauswertungen nach dem DSG 2000“ zu sehen sei ebenso verfehlt wie die Unterstellung, in diesem durchgeführten Prüfungsverfahren (Prüfung mittels Logfileanlayse, ob nicht dienstlich veranlasste Zugriffe auf Steuerdaten eines Abgabepflichtigen erfolgt wären) sei ein strafgesetzwidriges Vorgehen zu erkennen. Dem BIA obliege die Überwachung der Rechtmäßigkeit von Zugriffen auf Datenbanken des Beschwerdegegners. Des Weiteren obliege dem BIA die Prüfung von konkreten Verdachtsfällen dahingehend, ob eine Anzeigeverpflichtung nach § 78 StPO bestehe. Die von der BIA durchgeführte Logfileanalyse habe ergeben, dass der Beschwerdeführer – neben anderen Mitarbeitern des Finanzressorts – auf die Daten zugegriffen habe. Der Umstand, dass Zugriffe von Mitarbeitern des Beschwerdegegners auf das AIS in Logfiles protokolliert und dokumentiert würden, stelle keinen Eingriff in das Grundrecht dieser Mitarbeiter auf Geheimhaltung ihrer personenbezogenen Daten dar, sondern sei eine in § 14 Abs. 2 Z 7 DSG 2000 ausdrücklich vorgesehene Maßnahme zur Gewährleistung der Datensicherheit. Unter Vermerk auf die Judikatur der DSK ergebe sich aus dieser Bestimmung somit, dass die generelle, laufende Kontrolle der Protokolldaten eine gesetzliche Verpflichtung des Auftraggebers sei, die gänzlich unabhängig von tatsächlichen Vorfällen bestehe. Die vom Beschwerdeführer angeführte Analyse seines Abfrageverhaltens („Gesamtscreening“) bzw. die Prüfung des Zugriffsverhaltens im Einzelfall („steuerpflichtiger Konzern“) sei durch das BIA im Hinblick auf die Rechtmäßigkeit bzw. Zulässigkeit von Zugriffen auf BMF-Datenbanken für rein dienstlich veranlasste Abfragen erfolgt. Hinsichtlich des Zeitraumes der Speicherung der Logfile Daten werde auf das bisher Vorgebrachte verwiesen.Dem BIA obliege die Überwachung der Rechtmäßigkeit von Zugriffen auf Datenbanken des Beschwerdegegners. Des Weiteren obliege dem BIA die Prüfung von konkreten Verdachtsfällen dahingehend, ob eine Anzeigeverpflichtung nach Paragraph 78, StPO bestehe. Die von der BIA durchgeführte Logfileanalyse habe ergeben, dass der Beschwerdeführer – neben anderen Mitarbeitern des Finanzressorts – auf die Daten zugegriffen habe. Der Umstand, dass Zugriffe von Mitarbeitern des Beschwerdegegners auf das AIS in Logfiles protokolliert und dokumentiert würden, stelle keinen Eingriff in das Grundrecht dieser Mitarbeiter auf Geheimhaltung ihrer personenbezogenen Daten dar, sondern sei eine in Paragraph 14, Absatz 2, Ziffer 7, DSG 2000 ausdrücklich vorgesehene Maßnahme zur Gewährleistung der Datensicherheit. Unter Vermerk auf die Judikatur der DSK ergebe sich aus dieser Bestimmung somit, dass die generelle, laufende Kontrolle der Protokolldaten eine gesetzliche Verpflichtung des Auftraggebers sei, die gänzlich unabhängig von tatsächlichen Vorfällen bestehe. Die vom Beschwerdeführer angeführte Analyse seines Abfrageverhaltens („Gesamtscreening“) bzw. die Prüfung des Zugriffsverhaltens im Einzelfall („steuerpflichtiger Konzern“) sei durch das BIA im Hinblick auf die Rechtmäßigkeit bzw. Zulässigkeit von Zugriffen auf BMF-Datenbanken für rein dienstlich veranlasste Abfragen erfolgt. Hinsichtlich des Zeitraumes der Speicherung der Logfile Daten werde auf das bisher Vorgebrachte verwiesen.
  15. Mit Stellungnahme vom
  16. Oktober 2018 brachte der Beschwerdeführer zusammengefasst vor, dass der Beschwerdegegner bzw. das BIA ihm über sechs Monate hinweg die Akteneinsicht in den über 8000-seitigen BIA-Akt verweigere. Betreffe die Akteneinsicht offensichtlich DSG-Belange, so hätte die Datenschutzbehörde daraufhin einzuwirken, dass eine zeitnahe Akteneinsicht erfolgen könne. Es werde daher der Antrag gestellt, dass die Datenschutzbehörde bescheidmäßig darüber abspricht, ob das Verfahren des BIA, welche offensichtlich das DSG betrifft, in die Zuständigkeit der Datenschutzbehörde falle. Welche Rolle das BIA im Sinne des DSG habe, sei unklar. Das BIA sehe sich als „verlängerter Arm“ der StA Wien. Selbst nach Anzeigelegung an die StA Wien sei der Beschwerdeführer auf Basis des BDG vom BIA einvernommen worden. Ferner beziehe sich der Beschwerdegegner auf Judikatur der DSK aus dem Jahre 2005, mittlerweile habe sich technisch jedoch einiges verändert. Zusätzlich zum DB2 wären die Finanzanwendungen massiv ausgebaut und teilweise in das DB2 implementiert worden, sodass die damaligen Aussagen der DSK zum DB2 aus technischer Sicht veraltet wären. Die Datenschutzbehörde möge auch feststellen, dass der Beschwerdegegner rechtswidrig Protokolldaten von Mitarbeitern iSd § 14 Abs. 2 Z 7 DSG 2000 anlege, speichere und zweckentfremdet verwende, welche „keine Daten iSd § 1 DSG enthalten (personenbezogene Daten) und deshalb nicht einer Protokollierung und Aufzeichnung unterliegen dürfen.“ Darüber hinaus würde der Beschwerdegegner Protokolldaten nach dem DSG mit Steuerdaten nach der BAO (die durch § 48a BAO geschützt wären) und Steuerdokumenten miteinander verknüpfen, um wiederum nach irgendwelchen potenziellen Straftaten des Beschwerdeführers zu fahnden.Die Datenschutzbehörde möge auch feststellen, dass der Beschwerdegegner rechtswidrig Protokolldaten von Mitarbeitern iSd Paragraph 14, Absatz 2, Ziffer 7, DSG 2000 anlege, speichere und zweckentfremdet verwende, welche „keine Daten iSd Paragraph eins, DSG enthalten (personenbezogene Daten) und deshalb nicht einer Protokollierung und Aufzeichnung unterliegen dürfen.“ Darüber hinaus würde der Beschwerdegegner Protokolldaten nach dem DSG mit Steuerdaten nach der BAO (die durch Paragraph 48 a, BAO geschützt wären) und Steuerdokumenten miteinander verknüpfen, um wiederum nach irgendwelchen potenziellen Straftaten des Beschwerdeführers zu fahnden. B. Beschwerdegegenstand In Entsprechung des Mangelbehebungsauftrags der Datenschutzbehörde vom
  17. Juli 2018 führte der Beschwerdeführer in seiner Stellungnahme vom
  18. August 2018 zunächst einen „Verstoß gegen Art. 6 DSGVO (§ 14 DSG 2000)“ ins Treffen, beschränkte sich jedoch in weiterer Folge darauf, eine Verletzung im Recht auf Geheimhaltung gemäß § 1 Abs. 1 DSG anzuführen. In Entsprechung des Mangelbehebungsauftrags der Datenschutzbehörde vom
  19. Juli 2018 führte der Beschwerdeführer in seiner Stellungnahme vom
  20. August 2018 zunächst einen „Verstoß gegen Artikel 6, DSGVO (Paragraph 14, DSG 2000)“ ins Treffen, beschränkte sich jedoch in weiterer Folge darauf, eine Verletzung im Recht auf Geheimhaltung gemäß Paragraph eins, Absatz eins, DSG anzuführen. Ausgehend vom Vorbringen des Beschwerdeführers ist daher die Hauptfrage, ob der Beschwerdegegner den Beschwerdeführer dadurch im Recht auf Geheimhaltung verletzt hat, indem er Protokoll- und Dokumentationsdaten den Beschwerdeführer betreffend in einer mit § 8 Abs. 4 DSG 2000 unvereinbaren Weise verwendet hat.Ausgehend vom Vorbringen des Beschwerdeführers ist daher die Hauptfrage, ob der Beschwerdegegner den Beschwerdeführer dadurch im Recht auf Geheimhaltung verletzt hat, indem er Protokoll- und Dokumentationsdaten den Beschwerdeführer betreffend in einer mit Paragraph 8, Absatz 4, DSG 2000 unvereinbaren Weise verwendet hat. Als Nebenfrage 1 ist auf den Antrag des Beschwerdeführers einzugehen, bescheidmäßig darüber abzusprechen, ob der Beschwerdegegner rechtswidrig auch Protokolldaten von Mitarbeitern anlegt, speichert und zweckentfremdet verwendet. Als Nebenfrage 2 ist auf den Antrag des Beschwerdeführers einzugehen, bescheidmäßig darüber abzusprechen, ob das „Verfahren des BIA“ in die Zuständigkeit der Datenschutzbehörde fällt. Als Nebenfrage 3 ist auf den Antrag des Beschwerdeführers einzugehen, bescheidmäßig festzustellen, dass „der Logfile Erlass des BMF vom
  21. Juni 2017, GZ BMF-320700/0004-I/1/2017, auf Basis des DSG gesetzwidrig ist, da er auch juristische Personen und Personengesellschaften umfasst, welche

§ 1

DSG fallen“.Als Nebenfrage 3 ist auf den Antrag des Beschwerdeführers einzugehen, bescheidmäßig festzustellen, dass „der Logfile Erlass des BMF vom 21. Juni 2017, GZ BMF-320700/0004-I/1/2017, auf Basis des DSG gesetzwidrig ist, da er auch juristische Personen und Personengesellschaften umfasst, welche

Paragraph eins, DSG fallen“. C. Sachverhaltsfeststellungen

  1. Der Beschwerdeführer ist Bediensteter des Beschwerdegegners. Nachdem im Jahre 2017 bekannt wurde, dass exakte Steuerdaten eines Steuerpflichtigen öffentlich gemacht wurden, leitete der Beschwerdegegner im Oktober 2017 entsprechende Maßnahmen ein. Der Datenbestand des Abgabeinformationssystems des Bundes („AIS“) sollte anhand einer Analyse der Protokolldaten auf unzulässige Zugriffe durch Bedienstete des Beschwerdegegners hinsichtlich dieses Steuerpflichtigen überprüft und unzulässige Zugriffe ausgeforscht werden. Das Büro für interne Angelegenheiten („BIA“) ist eine interne Organisationseinheit des Beschwerdegegners und war an der Aufklärung dieses Vorfalls maßgeblich beteiligt. Der Beschwerdeführer hat Zugriff auf das AIS bzw. auf den Datensatz dieses Steuerpflichtigen. Die durchgeführte Logfileanalyse ergab, dass - neben anderen Bediensteten des Beschwerdegegners - auch der Beschwerdeführer auf die Daten des genannten Steuerpflichtigen in der Vergangenheit zugegriffen hatte. Beweiswürdigung: Die insofern unstrittigen Feststellungen gründen sich auf die Stellungnahme des Beschwerdegegners vom
  2. Mai 2018 und auf die Stellungnahme des Beschwerdeführers vom
  3. August
  5. Der Beschwerdegegner verwendete diese Protokolldaten den Beschwerdeführer betreffend ab Oktober 2017 auch, um den Verdacht der Begehung einer Straftat, insbesondere hinsichtlich § 310 StGB, auszuforschen.
  6. Der Beschwerdegegner verwendete diese Protokolldaten den Beschwerdeführer betreffend ab Oktober 2017 auch, um den Verdacht der Begehung einer Straftat, insbesondere hinsichtlich Paragraph 310, StGB, auszuforschen. Der Beschwerdegegner erstattete am
  7. Oktober 2017 und
  8. November 2017 hinsichtlich der internen Erhebungen Bericht an die StA Wien. Am
  9. November 2017 berichtete der Beschwerdegegner an die StA Wien, dass „sich der Täterkreis aufgrund interner Erhebungen auf vier Personen eingrenzen lässt“. Zu diesem Zeitpunkt war bereits ein entsprechendes Verfahren bei der StA Wien zur GZ. *3 UT *2*2/17n anhängig. Beweiswürdigung: Diese Feststellungen ergeben sich aus den vorgelegten Dokumenten der Verfahrensparteien, insbesondere der Stellungnahme des Beschwerdeführers vom
  10. August 2018 samt Beilagen. D. In rechtlicher Hinsicht folgt daraus: D.1 Zur Rechtslage Über diese Beschwerde ist verfahrensrechtlich nach neuer Rechtslage gemäß § 24 Abs. 1 und 5 DSG, BGBl. I Nr. 165/1999 idgF, zu entscheiden. Materiellrechtlich ist die Sache jedoch nach den im Oktober 2017, dem Zeitpunkt bzw. Zeitraum der behaupteten Verletzung des Rechts auf Geheimhaltung, geltenden Bestimmungen des DSG 2000, BGBl. I Nr. 165/1999 idF BGBl. I Nr. 83/2013 zu beurteilen.Über diese Beschwerde ist verfahrensrechtlich nach neuer Rechtslage gemäß Paragraph 24, Absatz eins, und 5 DSG, Bundesgesetzblatt Teil eins, Nr. 165 aus 1999, idgF, zu entscheiden. Materiellrechtlich ist die Sache jedoch nach den im Oktober 2017, dem Zeitpunkt bzw. Zeitraum der behaupteten Verletzung des Rechts auf Geheimhaltung, geltenden Bestimmungen des DSG 2000, Bundesgesetzblatt Teil eins, Nr. 165 aus 1999, in der Fassung Bundesgesetzblatt Teil eins, Nr. 83 aus 2013, zu beurteilen. D.2 Zur Zuständigkeit der Datenschutzbehörde in der Hauptfrage Der Beschwerdegegner bringt vor, dass die Datenschutzbehörde in der gegenständlichen Hauptfrage zur Entscheidung unzuständig sei, bezieht sich dabei auf die stRsp der Datenschutzbehörde zum „Übermaßverbot“ und führt einen Bescheid der ehemaligen Datenschutzkommission (in Folge: „DSK“) vom
  11. Dezember 2005, K121.040/0018-DSK/2005 ins Treffen. Dem Beschwerdegegner ist jedoch entgegenzuhalten, dass sich die gegenständliche Hauptfrage nicht darauf bezieht, die Verfahrensführung bzw. das Verfahrensergebnis (wie etwa das Ergebnis eines dienst- oder strafrechtlichen Verfahrens) anderer, sachlich zuständiger Behörden zu korrigieren. Vielmehr ist zu überprüfen, ob die Protokolldaten den Beschwerdeführer betreffend in einer mit § 14 Abs. 4 DSG 2000 vereinbaren Weise verwendet wurden. Dem Beschwerdegegner ist jedoch entgegenzuhalten, dass sich die gegenständliche Hauptfrage nicht darauf bezieht, die Verfahrensführung bzw. das Verfahrensergebnis (wie etwa das Ergebnis eines dienst- oder strafrechtlichen Verfahrens) anderer, sachlich zuständiger Behörden zu korrigieren. Vielmehr ist zu überprüfen, ob die Protokolldaten den Beschwerdeführer betreffend in einer mit Paragraph 14, Absatz 4, DSG 2000 vereinbaren Weise verwendet wurden. Ferner ist darauf hinzuweisen, dass in der - seitens des Beschwerdegegners selbst angeführten -Entscheidung der DSK vom
  12. Dezember 2005 die Feststellung begehrt wurde, dass der „Verdacht auf Amtsmissbrauch nie gegeben war“ bzw. zu überprüfen begehrt wurde, ob „etwa der Inhalt einer Disziplinaranzeige auf Tatsachen beruht und diese Tatsachen rechtlich korrekt gewürdigt wurden“ und die DSK die Beschwerde unter Bezug auf die Judikatur des Übermaßverbots dahingehend abgewiesen hat. In derselben Entscheidung vom
  13. Dezember 2005 ging die DSK hinsichtlich der Verwendung von Protokolldaten für Zwecke der Kontrolle von Bedientesten jedoch gerade von einer Zuständigkeit aus und beschäftigte sich eingehend mit der Bestimmung gemäß § 14 Abs. 4 DSG 2000.Ferner ist darauf hinzuweisen, dass in der - seitens des Beschwerdegegners selbst angeführten -Entscheidung der DSK vom
  14. Dezember 2005 die Feststellung begehrt wurde, dass der „Verdacht auf Amtsmissbrauch nie gegeben war“ bzw. zu überprüfen begehrt wurde, ob „etwa der Inhalt einer Disziplinaranzeige auf Tatsachen beruht und diese Tatsachen rechtlich korrekt gewürdigt wurden“ und die DSK die Beschwerde unter Bezug auf die Judikatur des Übermaßverbots dahingehend abgewiesen hat. In derselben Entscheidung vom
  15. Dezember 2005 ging die DSK hinsichtlich der Verwendung von Protokolldaten für Zwecke der Kontrolle von Bedientesten jedoch gerade von einer Zuständigkeit aus und beschäftigte sich eingehend mit der Bestimmung gemäß Paragraph 14, Absatz 4, DSG
  16. Die Datenschutzbehörde ist in der gegenständlichen Hauptfrage daher zuständig. D.3 Zur Zuständigkeit der Datenschutzbehörde in der Nebenfrage 1 Sofern der Beschwerdeführer beantragt, bescheidmäßig darüber abzusprechen, ob der Beschwerdegegner rechtswidrig auch „Protokolldaten von Mitarbeitern“ anlegt, speichert und zweckentfremdet verwendet, ist ihm entgegenzuhalten, dass der Beschwerdeführer nicht Stellvertreter aller betroffenen Mitarbeiter des Beschwerdegegners ist und eine derartige „Popularklage“ (also eine Klage, die von jemand erhoben wird, der nicht allein davon betroffen ist) nicht zulässig ist (vgl. den Bescheid der DSK vom
  17. März 2012, K121.765/0008-DSK/2012).Sofern der Beschwerdeführer beantragt, bescheidmäßig darüber abzusprechen, ob der Beschwerdegegner rechtswidrig auch „Protokolldaten von Mitarbeitern“ anlegt, speichert und zweckentfremdet verwendet, ist ihm entgegenzuhalten, dass der Beschwerdeführer nicht Stellvertreter aller betroffenen Mitarbeiter des Beschwerdegegners ist und eine derartige „Popularklage“ (also eine Klage, die von jemand erhoben wird, der nicht allein davon betroffen ist) nicht zulässig ist vergleiche den Bescheid der DSK vom
  18. März 2012, K121.765/0008-DSK/2012). Dies erhellt daraus, dass eine Beschwerde nach § 24 Abs. 1 DSG (bzw. § 31 Abs. 2 DSG 2000) nur von einer Person gemacht werden kann, die behauptet, in ihrer Rechtssphäre von den Handlungen eines datenschutzrechtlichen Auftraggebers betroffen zu sein. Im vorliegenden Fall ist der Beschwerdegegenstand darauf zu beschränken, dass eine Verwendung personenbezogener Daten des Beschwerdeführers durch den Beschwerdegegner zur Diskussion steht Dies erhellt daraus, dass eine Beschwerde nach Paragraph 24, Absatz eins, DSG (bzw. Paragraph 31, Absatz 2, DSG 2000) nur von einer Person gemacht werden kann, die behauptet, in ihrer Rechtssphäre von den Handlungen eines datenschutzrechtlichen Auftraggebers betroffen zu sein. Im vorliegenden Fall ist der Beschwerdegegenstand darauf zu beschränken, dass eine Verwendung personenbezogener Daten des Beschwerdeführers durch den Beschwerdegegner zur Diskussion steht Dieser Antrag des Beschwerdeführers war daher spruchgemäß zurückzuweisen. D.4 Zur Zuständigkeit der Datenschutzbehörde in der Nebenfrage 2 Sofern der Beschwerdeführer beantragt, bescheidmäßig darüber abzusprechen, „ob das Verfahren des BIA, welche offensichtlich das DSG betrifft, in die Zuständigkeit der DSB fällt“, so muss diesbezüglich zunächst differenziert werden: In Punkt D.2 wurde bereits festgehalten, dass die Datenschutzbehörde in der Hauptfrage zuständig ist. Sofern der Beschwerdeführer „Verfahren des BIA“ ins Treffen führt und in weiterer Folge vorbringt, der Beschwerdegegner verweigere ihm die Akteneinsicht in den „über 8000 seitigen BIA Akt“, so ist diesbezüglich festzuhalten, dass es nicht Zweck der Richtlinie 95/46/EG (und in Folge einer Datenschutzbeschwerde) ist, den Zugang zu Verwaltungsdokumenten zu sichern (vgl. das Urteil des EuGH vom
  19. Juli 2014, C-141/12 und C-372/12, YS und MS, Rn. 46).Sofern der Beschwerdeführer „Verfahren des BIA“ ins Treffen führt und in weiterer Folge vorbringt, der Beschwerdegegner verweigere ihm die Akteneinsicht in den „über 8000 seitigen BIA Akt“, so ist diesbezüglich festzuhalten, dass es nicht Zweck der Richtlinie 95/46/EG (und in Folge einer Datenschutzbeschwerde) ist, den Zugang zu Verwaltungsdokumenten zu sichern vergleiche das Urteil des EuGH vom
  20. Juli 2014, C-141/12 und C-372/12, YS und MS, Rn. 46). Aus den datenschutzrechtlichen Betroffenenrechten – wie gegenständlich dem Recht auf Geheimhaltung – kann somit kein subjektives Recht auf Akteneinsicht abgeleitet werden, da es nicht Zweck der Betroffenenrechte ist, Parteienrechte in einem anderen Verfahren zu erfüllen (vgl. anstelle vieler den Bescheid der DSB vom
  21. März 2015, DSB-D122.299/0003-DSB/2015, in Bezug auf das Auskunftsrecht).Aus den datenschutzrechtlichen Betroffenenrechten – wie gegenständlich dem Recht auf Geheimhaltung – kann somit kein subjektives Recht auf Akteneinsicht abgeleitet werden, da es nicht Zweck der Betroffenenrechte ist, Parteienrechte in einem anderen Verfahren zu erfüllen vergleiche anstelle vieler den Bescheid der DSB vom
  22. März 2015, DSB-D122.299/0003-DSB/2015, in Bezug auf das Auskunftsrecht). Die Datenschutzbehörde ist somit nicht zuständig, über die Verwehrung von Akteneinsicht abzusprechen. Dieser Antrag des Beschwerdeführers war daher ebenso spruchgemäß zurückzuweisen. D.5 Zur Zuständigkeit der Datenschutzbehörde in der Nebenfrage 3 Sofern der Beschwerdeführer beantragt, bescheidmäßig festzustellen, dass „der Logfile Erlass des BMF vom
  23. Juni 2017, GZ BMF-320700/0004-I/1/2017, auf Basis des DSG gesetzwidrig ist, da er auch juristische Personen und Personengesellschaften umfasst, welche

§ 1

DSG fallen“, ist festzuhalten, dass es der Datenschutzbehörde nicht zusteht, die Rechtmäßigkeit eines Erlasses, der eine interne Verwaltungsvorschrift ist, zu überprüfen oder diesen zu korrigieren (vgl. §§ 30 und 31 DSG 2000).Sofern der Beschwerdeführer beantragt, bescheidmäßig festzustellen, dass „der Logfile Erlass des BMF vom 21. Juni 2017, GZ BMF-320700/0004-I/1/2017, auf Basis des DSG gesetzwidrig ist, da er auch juristische Personen und Personengesellschaften umfasst, welche

Paragraph eins, DSG fallen“, ist festzuhalten, dass es der Datenschutzbehörde nicht zusteht, die Rechtmäßigkeit eines Erlasses, der eine interne Verwaltungsvorschrift ist, zu überprüfen oder diesen zu korrigieren vergleiche Paragraphen 30, und 31 DSG 2000). Auch dieser Antrag des Beschwerdeführers war daher spruchgemäß zurückzuweisen. Es sei jedoch darauf hingewiesen, dass § 1 Abs. 1 erster Satz DSG auf „Jedermann“ abstellt und daher juristische Personen und Personengemeinschaften vom Schutzbereich (vgl. dazu auch den Bescheid der Datenschutzbehörde vom 13. September 2018, GZ DSB-D216.713/0006-DSB/2018) umfasst sind.Es sei jedoch darauf hingewiesen, dass Paragraph eins, Absatz eins, erster Satz DSG auf „Jedermann“ abstellt und daher juristische Personen und Personengemeinschaften vom Schutzbereich vergleiche dazu auch den Bescheid der Datenschutzbehörde vom 13. September 2018, GZ DSB-D216.713/0006-DSB/2018) umfasst sind. D.6 In der Sache die Hauptfrage betreffend

  1. a)Allgemeines Zunächst ist darauf hinzuweisen, dass der vorliegende Sachverhalt zwei Komponenten aufweist: Zum einen geht es um die Verwendung der Protokolldaten durch den Beschwerdegegner, um einem begründeten Verdacht einer gröblichen Dienstpflichtverletzung nachzugehen, zum anderen geht es um die Verwendung der Protokolldaten zu strafrechtlichen Ermittlungszwecken, konkret um den Verdacht der Begehung von Straftaten iSv § 8 Abs. 4 DSG 2000 auszuforschen.Zunächst ist darauf hinzuweisen, dass der vorliegende Sachverhalt zwei Komponenten aufweist: Zum einen geht es um die Verwendung der Protokolldaten durch den Beschwerdegegner, um einem begründeten Verdacht einer gröblichen Dienstpflichtverletzung nachzugehen, zum anderen geht es um die Verwendung der Protokolldaten zu strafrechtlichen Ermittlungszwecken, konkret um den Verdacht der Begehung von Straftaten iSv Paragraph 8, Absatz 4, DSG 2000 auszuforschen. Ebenso wird darauf hingewiesen, dass das Büro für interne Angelegenheiten („BIA“) bloß eine interne Organisationseinheit des Beschwerdegegners ist und es sich nicht um einen eigenständigen datenschutzrechtlichen Auftraggeber handelt.
  2. b)Zum Personenbezug und dem AIS Sofern der Beschwerdeführer vorbringt, dass im AIS – wenn auch nur teilweise – gar keine personenbezogenen Daten verarbeitet würden, ist ihm entgegenzuhalten, dass die DSK bereits in Hinblick auf das AIS unter Anwendung des DSG 2000 eine Entscheidung getroffen hat (vgl. den Bescheid der DSK vom 16. Dezember 2005 a.a.O).Sofern der Beschwerdeführer vorbringt, dass im AIS – wenn auch nur teilweise – gar keine personenbezogenen Daten verarbeitet würden, ist ihm entgegenzuhalten, dass die DSK bereits in Hinblick auf das AIS unter Anwendung des DSG 2000 eine Entscheidung getroffen hat vergleiche den Bescheid der DSK vom 16. Dezember 2005 a.a.O). Wenn der Beschwerdeführer die Datenschutzbehörde ersucht, den Beschwerdegegner aufzufordern, näher darzustellen, was die Applikation AIS-DB2 überhaupt in seiner Gesamtheit ist und wiederum ausführt, dass gewisse Teile des DB2 keine personenbezogenen Daten und auch keine steuerlich relevanten Daten beinhalten würden, so ist aus Sicht der Datenschutzbehörde nicht erkennbar, inwiefern dies im vorliegenden Verfahren von Relevanz sein soll. So ist einerseits ohnehin unstrittig, dass der Beschwerdegegner eine Analyse auf ungerechtfertigte Datenzugriffe einen bestimmten Steuerpflichtigen betreffend durchführen ließ und es sich bei den Ergebnissen dieser Analyse um personenbezogene Daten handelt, nämlich zu welchem Zeitpunkt bzw. in welchem Umfang der Beschwerdeführer auf die Daten dieses bestimmten Steuerpflichtigen zugegriffen hat. Sofern – teilweise – keine personenbezogenen Daten im AIS verarbeitet werden sollten, so stünde dem Beschwerdeführer diesbezüglich andererseits auch kein Beschwerderecht zu, da sich das Grundrecht auf Geheimhaltung im Schutz von personenbezogenen Daten erschöpft.
  3. c)Zum begründeten Verdacht einer gröblichen Dienstpflichtverletzung Aus der Bestimmung gemäß § 14 Abs. 4 iVm Abs. 5 DSG 2000 ergibt sich, dass zumindest während einer drei Jahre dauernden Zeitspanne Protokolldaten dazu benützt werden dürfen, die Rechtmäßigkeit des Zugriffs auf den durch Zugriffsprotokollierung abgesicherten Datenbestand zu kontrollieren, und zwar – mangels näherer gesetzlicher Regelung – in jeder Art, die der Auftraggeber der Datenanwendung für zweckmäßig erachtet, wobei als Grenze das Verhältnismäßigkeitsprinzip bzw. das Übermaßverbot gilt. Die Heranziehung von Protokolldaten zur Kontrolle der Rechtmäßigkeit des Zugriffs kann daher in verschiedener Intensität und nach verschiedenen Methoden, also sowohl durch routinemäßige Kontrolle aller Zugriffsvorgänge sowie durch anlassbezogene Kontrollen (wie vorliegend) oder durch Kontrolle bestimmter Kategorien von Abfragen (wie vorliegend), durch Kontrolle der Abfragen bestimmter Mitarbeiter oder Mitarbeiterkategorien oder durch stichprobenweise Kontrollen erfolgen (vgl. den Bescheid der DSK vom 16. Dezember 2005 a.a.O).Aus der Bestimmung gemäß Paragraph 14, Absatz 4, in Verbindung mit Absatz 5, DSG 2000 ergibt sich, dass zumindest während einer drei Jahre dauernden Zeitspanne Protokolldaten dazu benützt werden dürfen, die Rechtmäßigkeit des Zugriffs auf den durch Zugriffsprotokollierung abgesicherten Datenbestand zu kontrollieren, und zwar – mangels näherer gesetzlicher Regelung – in jeder Art, die der Auftraggeber der Datenanwendung für zweckmäßig erachtet, wobei als Grenze das Verhältnismäßigkeitsprinzip bzw. das Übermaßverbot gilt. Die Heranziehung von Protokolldaten zur Kontrolle der Rechtmäßigkeit des Zugriffs kann daher in verschiedener Intensität und nach verschiedenen Methoden, also sowohl durch routinemäßige Kontrolle aller Zugriffsvorgänge sowie durch anlassbezogene Kontrollen (wie vorliegend) oder durch Kontrolle bestimmter Kategorien von Abfragen (wie vorliegend), durch Kontrolle der Abfragen bestimmter Mitarbeiter oder Mitarbeiterkategorien oder durch stichprobenweise Kontrollen erfolgen vergleiche den Bescheid der DSK vom 16. Dezember 2005 a.a.O). So hat die ehemalige DSK bereits festgehalten, dass jeder Auftraggeber gemäß § 14 DSG 2000 die Pflicht hat, durch geeignete Maßnahmen vorzukehren, dass auf die von ihm verarbeiteten Daten nicht unzulässigerweise zugegriffen wird. Der Zugriff auf Steuerdaten von Bürgern durch Bedienstete der Finanzverwaltung zu außerdienstlichen Zwecken ist eine unzulässige Datenverwendung. Die Protokollierung der Zugriffe und auswertende Kontrolle der Protokolle zum Zweck der Feststellung und künftigen Unterbindung unzulässiger Zugriffe ist ein nach dem Stand der Technik allgemein anerkanntes Mittel zur Verwirklichung von Datensicherheit in Form der Generalprävention gegen unzulässige Zugriffe. Aus § 14 DSG 2000 ist nicht nur die Verpflichtung erkennbar, Abfragedaten zu protokollieren, sondern auch die Verpflichtung, Protokolldaten für die Überprüfung der Zulässigkeit der Verwendung des Datensatzes heranzuziehen (vgl. den Bescheid der DSK vom 21. Juni 2005, GZ K121.014/0008-DSK/2005; siehe weiters die Empfehlung der Datenschutzbehörde vom 23. Mai 2016, GZ DSB-D210.783/0004-DSB/2016).So hat die ehemalige DSK bereits festgehalten, dass jeder Auftraggeber gemäß Paragraph 14, DSG 2000 die Pflicht hat, durch geeignete Maßnahmen vorzukehren, dass auf die von ihm verarbeiteten Daten nicht unzulässigerweise zugegriffen wird. Der Zugriff auf Steuerdaten von Bürgern durch Bedienstete der Finanzverwaltung zu außerdienstlichen Zwecken ist eine unzulässige Datenverwendung. Die Protokollierung der Zugriffe und auswertende Kontrolle der Protokolle zum Zweck der Feststellung und künftigen Unterbindung unzulässiger Zugriffe ist ein nach dem Stand der Technik allgemein anerkanntes Mittel zur Verwirklichung von Datensicherheit in Form der Generalprävention gegen unzulässige Zugriffe. Aus Paragraph 14, DSG 2000 ist nicht nur die Verpflichtung erkennbar, Abfragedaten zu protokollieren, sondern auch die Verpflichtung, Protokolldaten für die Überprüfung der Zulässigkeit der Verwendung des Datensatzes heranzuziehen vergleiche den Bescheid der DSK vom 21. Juni 2005, GZ K121.014/0008-DSK/2005; siehe weiters die Empfehlung der Datenschutzbehörde vom 23. Mai 2016, GZ DSB-D210.783/0004-DSB/2016). Dem Beschwerdegegner ist daher zunächst beizupflichten, dass er gemäß § 14 Abs. 4 DSG 2000 zulässigerweise eine Analyse der Protokolldaten vornahm, um im Sinne der §§ 43 ff BDG 1979, insbesondere aber hinsichtlich § 79g BDG 1979, BGBl. Nr. 333/1979 idF BGBl. I Nr. 167/2017 dem begründeten Verdacht einer gröblichen Dienstpflichtverletzung nachzugehen und um dadurch künftige unzulässige Zugriffe zu unterbinden.Dem Beschwerdegegner ist daher zunächst beizupflichten, dass er gemäß Paragraph 14, Absatz 4, DSG 2000 zulässigerweise eine Analyse der Protokolldaten vornahm, um im Sinne der Paragraphen 43, ff BDG 1979, insbesondere aber hinsichtlich Paragraph 79 g, BDG 1979, Bundesgesetzblatt Nr. 333 aus 1979, in der Fassung Bundesgesetzblatt Teil eins, Nr. 167 aus 2017, dem begründeten Verdacht einer gröblichen Dienstpflichtverletzung nachzugehen und um dadurch künftige unzulässige Zugriffe zu unterbinden.
  4. d)Zur Verwendung der Protokolldaten zu strafrechtlichen Ermittlungszwecken (Verdacht der Begehung von Straftaten) Der Beschwerdegegner übersieht dabei jedoch, dass die Beschwerde des Beschwerdeführers darauf abzielt, dass der Beschwerdegegner die Protokolldaten auch zu strafrechtlichen Ermittlungszwecken verwendet habe und dass eine derartige Verwendung der Protokolldaten im vorliegenden Fall nicht von §§ 8 Abs. 4 DSG 2000 iVm 14 Abs. 4 DSG 2000 gedeckt sei. Der Beschwerdegegner übersieht dabei jedoch, dass die Beschwerde des Beschwerdeführers darauf abzielt, dass der Beschwerdegegner die Protokolldaten auch zu strafrechtlichen Ermittlungszwecken verwendet habe und dass eine derartige Verwendung der Protokolldaten im vorliegenden Fall nicht von Paragraphen 8, Absatz 4, DSG 2000 in Verbindung mit 14 Absatz 4, DSG 2000 gedeckt sei. Die Verwendung der Protokolldaten zum Zweck der Nachforschung hinsichtlich eines mit gerichtlicher Strafe bedrohten Verhaltens ergibt sich zunächst aus einem Eingangsstück des Beschwerdegegners vom 3. Oktober 2017, unterzeichnet vom Teamleiter des BIA (vorgelegter Screenshot, Seite 4. der Stellungnahme des Beschwerdeführers vom 4. August 2018). Die Betreffzeile dieses Eingangsstück lautet „Verdacht auf § 310 StGB gg (vorerst u.T)“ und nicht etwa: „Verdacht einer gröblichen Dienstverletzung“ - oder ähnlich. Der Auftrag, eine Analyse auf ungerechtfertigte Datenzugriffe vorzunehmen, zielte somit von Beginn an auch darauf ab, hinsichtlich des Verdachts der Begehung einer Straftat, insbesondere aber hinsichtlich § 310 StGB zu forschen. Auch ein Schreiben von Dr. Karl R*** vom 3. Oktober 2017 (vorgelegter Screenshot, Seite 5. der Stellungnahme des Beschwerdeführers vom 4. August 2018) gab ausdrücklich den Auftrag, „die Anschuldigungen laut Eingangsstück“ (gemeint damit: das Eingangsstück vom 3. Oktober 2017) zu untersuchen und differenzierte nicht mehr zwischen einer Analyse wegen einer etwaigen Dienstverletzung und einer Analyse zu strafrechtlichen Ermittlungszwecken. Dafür spricht, dass der Beschwerdeführer offenbar durch den Beschwerdegegner „unter Verweis auf StGB Delikte“ am 10. Oktober 2018 – somit im engen zeitlichen Zusammenhang mit dem Versand des Eingangsstücks vom 3. Oktober 2017 – befragt wurde (Seite 9. der Stellungnahme des Beschwerdegegners vom 4. August 2018), was durch den Beschwerdegegner auch nicht bestritten wurde.Die Verwendung der Protokolldaten zum Zweck der Nachforschung hinsichtlich eines mit gerichtlicher Strafe bedrohten Verhaltens ergibt sich zunächst aus einem Eingangsstück des Beschwerdegegners vom 3. Oktober 2017, unterzeichnet vom Teamleiter des BIA (vorgelegter Screenshot, Seite 4. der Stellungnahme des Beschwerdeführers vom 4. August 2018). Die Betreffzeile dieses Eingangsstück lautet „Verdacht auf Paragraph 310, StGB gg (vorerst u.T)“ und nicht etwa: „Verdacht einer gröblichen Dienstverletzung“ - oder ähnlich. Der Auftrag, eine Analyse auf ungerechtfertigte Datenzugriffe vorzunehmen, zielte somit von Beginn an auch darauf ab, hinsichtlich des Verdachts der Begehung einer Straftat, insbesondere aber hinsichtlich Paragraph 310, StGB zu forschen. Auch ein Schreiben von Dr. Karl R*** vom 3. Oktober 2017 (vorgelegter Screenshot, Seite 5. der Stellungnahme des Beschwerdeführers vom 4. August 2018) gab ausdrücklich den Auftrag, „die Anschuldigungen laut Eingangsstück“ (gemeint damit: das Eingangsstück vom 3. Oktober 2017) zu untersuchen und differenzierte nicht mehr zwischen einer Analyse wegen einer etwaigen Dienstverletzung und einer Analyse zu strafrechtlichen Ermittlungszwecken. Dafür spricht, dass der Beschwerdeführer offenbar durch den Beschwerdegegner „unter Verweis auf StGB Delikte“ am 10. Oktober 2018 – somit im engen zeitlichen Zusammenhang mit dem Versand des Eingangsstücks vom 3. Oktober 2017 – befragt wurde (Seite 9. der Stellungnahme des Beschwerdegegners vom 4. August 2018), was durch den Beschwerdegegner auch nicht bestritten wurde. Die Tatsache stützt sich auch auf den Aktenvermerk der StA Wien vom 2. November 2017 zur GZ. *3 UT *2*2/17n (vorgelegter Screenshot, Seite 7. der Stellungnahme des Beschwerdeführers vom 4. August 2018), wonach der Beschwerdegegner der StA Wien mitteilt, dass sich „der Täterkreis aufgrund interner Erhebungen auf vier Personen eingrenzen lässt“, worunter auch der Beschwerdeführer zählt. Selbst wenn der Beschwerdegegner somit die Protokolldaten auch zur Feststellung einer gröblichen Dienstverletzung verwendet hat, so hat er spätestens ab diesem Zeitpunkt die Daten auch verwendet, um dem Verdacht der Begehung einer Straftat nachzugehen. Darüber hinaus ist auch ein Aktenvermerk vom 24. Oktober 2017 zur gleichen GZ. der StA Wien vorhanden (vorgelegter Screenshot, Seite 7. der Stellungnahme des Beschwerdeführers vom 4. August 2018), der nicht komplett leserlich ist, jedoch auch indiziert, dass laufend eine Berichterstattung hinsichtlich der internen Ermittlungen des Beschwerdegegners an die StA Wien erfolgt ist. Die Tatsache stützt sich auch auf den internen E-Mail-Verkehr des Beschwerdegegners (vorgelegter Screenshot, Seite 11. der Stellungnahme des Beschwerdeführers vom 4. August 2018), wonach der Beschwerdegegner in einem E-Mail selbst bemerkt, dass „diese andauernde Schnitzeljagd nach einzelnen Puzzleteilen“ nichts bringe und es geboten scheine, „das bei der StA Wien anhängige Verfahren, dh die do Ermittlungsschritte mit den ho geführten zu koordinieren“. Auch im BIA-Bericht erster Absatz (vorgelegter Screenshot, Seite 12. der Stellungnahme des Beschwerdeführers vom 4. August 2018) wird Folgendes angeführt: „Im Hinblick auf die Erhärtung des hinreichenden Anfangsverdachts, dass vorliegenden Falls eine gerichtlich strafbare Handlung vorliegt, insb. die Verletzung des Steuer- bzw. Amtsgeheimnisses (gemeint also: § 310 StGB), wurde der Sachverhalt seitens des BMF umgehend der WKStA zur Kenntnis gebracht“. Der Beschwerdegegner räumt dadurch implizit ein, dass die Analyse der Protokolldaten von Anfang an (zumindest auch) zur Klärung des Verdachts der Begehung von Straftaten diente.Auch im BIA-Bericht erster Absatz (vorgelegter Screenshot, Seite 12. der Stellungnahme des Beschwerdeführers vom 4. August 2018) wird Folgendes angeführt: „Im Hinblick auf die Erhärtung des hinreichenden Anfangsverdachts, dass vorliegenden Falls eine gerichtlich strafbare Handlung vorliegt, insb. die Verletzung des Steuer- bzw. Amtsgeheimnisses (gemeint also: Paragraph 310, StGB), wurde der Sachverhalt seitens des BMF umgehend der WKStA zur Kenntnis gebracht“. Der Beschwerdegegner räumt dadurch implizit ein, dass die Analyse der Protokolldaten von Anfang an (zumindest auch) zur Klärung des Verdachts der Begehung von Straftaten diente. Die Ausführungen des Beschwerdegegners, dass sich bei einem unzulässigen Zugriff auf Datenbestände des AIS auch zwangsläufig der Verdacht des Vorliegens einer Dienstpflichtverletzung ergäbe (Seite 3. der Stellungnahme des Beschwerdegegners vom 28. September 2018), sowie, dass die vom BIA über Veranlassung des Beschwerdegegners durchgeführte Analyse des Abfrageverhaltens im Hinblick auf die Rechtmäßigkeit von Zugriffen auf BMF-Datenbanken „für rein dienstlich veranlasste Abfragen“ erfolgt sei (Seite 5. der Stellungnahme des Beschwerdegegners vom 28. September 2018), vermag daran nichts zu ändern. So stützte sich der Beschwerdegegner selbst ausdrücklich von Beginn an auf eine „Ermittlung hinsichtlich des Verdachts auf § 310 StGB“, wenngleich vorerst gegen einen unbekannten Täter, spätestens nachdem „der Täterkreis aufgrund interner Erhebungen auf vier Personen“ eingegrenzt wurde, auch den Beschwerdeführer betreffend. Die Ausführungen des Beschwerdegegners, dass sich bei einem unzulässigen Zugriff auf Datenbestände des AIS auch zwangsläufig der Verdacht des Vorliegens einer Dienstpflichtverletzung ergäbe (Seite 3. der Stellungnahme des Beschwerdegegners vom 28. September 2018), sowie, dass die vom BIA über Veranlassung des Beschwerdegegners durchgeführte Analyse des Abfrageverhaltens im Hinblick auf die Rechtmäßigkeit von Zugriffen auf BMF-Datenbanken „für rein dienstlich veranlasste Abfragen“ erfolgt sei (Seite 5. der Stellungnahme des Beschwerdegegners vom 28. September 2018), vermag daran nichts zu ändern. So stützte sich der Beschwerdegegner selbst ausdrücklich von Beginn an auf eine „Ermittlung hinsichtlich des Verdachts auf Paragraph 310, StGB“, wenngleich vorerst gegen einen unbekannten Täter, spätestens nachdem „der Täterkreis aufgrund interner Erhebungen auf vier Personen“ eingegrenzt wurde, auch den Beschwerdeführer betreffend. Insgesamt liegen eindeutige Anhaltspunkte vor, dass der Beschwerdegegner die Protokolldaten den Beschwerdeführer betreffend (zumindest auch) zur Klärung des Verdachts der Begehung von Straftaten verwendete. Es ist somit nicht davon auszugehen, dass es sich bei der Analyse der Protokolldaten den Beschwerdeführer betreffend nur um eine Untersuchung hinsichtlich einer Dienstpflichtverletzung handelte. Dazu ist zunächst zu bemerken, dass § 14 Abs. 4 DSG 2000 abschließend auf zwei Fälle abstellt, in denen Protokolldaten abweichend vom Ermittlungszweck – also die Kontrolle der Zulässigkeit der Verwendung des protokollierten oder dokumentierten Datenbestandes – verwendet werden dürfen:Dazu ist zunächst zu bemerken, dass Paragraph 14, Absatz 4, DSG 2000 abschließend auf zwei Fälle abstellt, in denen Protokolldaten abweichend vom Ermittlungszweck – also die Kontrolle der Zulässigkeit der Verwendung des protokollierten oder dokumentierten Datenbestandes – verwendet werden dürfen: Unvereinbar ist insbesondere die Weiterverwendung zum Zweck der Kontrolle von Betroffenen, deren Daten im protokollierten Datenbestand enthalten sind, oder zum Zweck der Kontrolle jener Personen, die auf den protokollierten Datenbestand zugegriffen haben, aus einem anderen Grund als jenem der Prüfung ihrer Zugriffsberechtigung, es sei denn, dass es sich um die Verwendung zum Zweck der Verhinderung oder Verfolgung eines Verbrechens nach § 278a StGB (kriminelle Organisation) oder eines Verbrechens mit einer Freiheitsstrafe, deren Höchstmaß fünf Jahre übersteigt, handelt. Unvereinbar ist insbesondere die Weiterverwendung zum Zweck der Kontrolle von Betroffenen, deren Daten im protokollierten Datenbestand enthalten sind, oder zum Zweck der Kontrolle jener Personen, die auf den protokollierten Datenbestand zugegriffen haben, aus einem anderen Grund als jenem der Prüfung ihrer Zugriffsberechtigung, es sei denn, dass es sich um die Verwendung zum Zweck der Verhinderung oder Verfolgung eines Verbrechens nach Paragraph 278 a, StGB (kriminelle Organisation) oder eines Verbrechens mit einer Freiheitsstrafe, deren Höchstmaß fünf Jahre übersteigt, handelt. Gegenständlich liegt jedoch weder der erste Fall gemäß § 278a StGB vor, noch liegt ein Fall eines Verbrechens mit einer Freiheitsstrafe, deren Höchstmaß fünf Jahre übersteigt, vor. So ergibt sich aus dem Eingangsstück des Beschwerdegegners vom 3. Oktober 2017 in der Betreffzeile ausdrücklich der „Verdacht auf § 310 StGB gg (vorerst u.T)“, wobei § 310 Abs. 1 StGB eine Freiheitsstrafe von bis zu drei Jahren vorsieht. Ein Verdacht hinsichtlich anderer Delikte, die eine Freiheitsstrafe, deren Höchstmaß fünf Jahre übersteigt, vorsehen, wurde seitens des Beschwerdegegners zu keinem Zeitpunkt vorgebracht.Gegenständlich liegt jedoch weder der erste Fall gemäß Paragraph 278 a, StGB vor, noch liegt ein Fall eines Verbrechens mit einer Freiheitsstrafe, deren Höchstmaß fünf Jahre übersteigt, vor. So ergibt sich aus dem Eingangsstück des Beschwerdegegners vom 3. Oktober 2017 in der Betreffzeile ausdrücklich der „Verdacht auf Paragraph 310, StGB gg (vorerst u.T)“, wobei Paragraph 310, Absatz eins, StGB eine Freiheitsstrafe von bis zu drei Jahren vorsieht. Ein Verdacht hinsichtlich anderer Delikte, die eine Freiheitsstrafe, deren Höchstmaß fünf Jahre übersteigt, vorsehen, wurde seitens des Beschwerdegegners zu keinem Zeitpunkt vorgebracht. Sofern der Beschwerdegegner ins Treffen führt, er sei gemäß § 78 StPO zur Anzeige an die WKStA verpflichtet, so übersieht er Folgendes: Der Beschwerdegegner kam nicht erst nach erfolgter Analyse der Protokolldaten zu dem Schluss, es läge ein anzeigepflichtiger Verdacht einer Straftat vor. Vielmehr lag aus Sicht des Beschwerdegegners bereits von Beginn an ohnehin der Verdacht auf § 310 StGB vor und wurden im Anschluss Protokolldaten analysiert, um diesen Verdacht näher zu erforschen. Es fällt jedoch in den Aufgabenbereich der StA nach den entsprechenden Bestimmungen der §§ 101 ff StPO Ermittlungsschritte zu setzen bzw. ein entsprechendes Ermittlungsverfahren zu führen und hat die StA in § 74 StPO auch eine entsprechende Grundlage zur Verarbeitung personenbezogener Daten.Sofern der Beschwerdegegner ins Treffen führt, er sei gemäß Paragraph 78, StPO zur Anzeige an die WKStA verpflichtet, so übersieht er Folgendes: Der Beschwerdegegner kam nicht erst nach erfolgter Analyse der Protokolldaten zu dem Schluss, es läge ein anzeigepflichtiger Verdacht einer Straftat vor. Vielmehr lag aus Sicht des Beschwerdegegners bereits von Beginn an ohnehin der Verdacht auf Paragraph 310, StGB vor und wurden im Anschluss Protokolldaten analysiert, um diesen Verdacht näher zu erforschen. Es fällt jedoch in den Aufgabenbereich der StA nach den entsprechenden Bestimmungen der Paragraphen 101, ff StPO Ermittlungsschritte zu setzen bzw. ein entsprechendes Ermittlungsverfahren zu führen und hat die StA in Paragraph 74, StPO auch eine entsprechende Grundlage zur Verarbeitung personenbezogener Daten. Im vorliegenden Fall hat der Beschwerdegegner jedoch sogar Protokolldaten den Beschwerdeführer betreffend verwendet, um den Verdacht der Begehung einer Straftat auszuräumen, nachdem bereits ein entsprechendes Verfahren bei der StA Wien anhängig war. Dies ergibt sich wie festgestellt daraus, dass der Beschwerdegegner zweimal „Bericht“ an die StA Wien erstattete und im Bericht vom 2. November 2017 des Beschwerdegegners an die StA Wien ausgeführt wird, dass „sich der Täterkreis aufgrund interner Erhebungen auf vier Personen eingrenzen lässt“. Festzuhalten ist, dass eine Analyse von Protokolldaten mit dem Zweck, nicht nur die Rechtmäßigkeit von Datenzugriffen zu überprüfen, sondern nach bestimmten Mustern im Verhalten der Zugriffsberechtigten zu suchen, die Schlüsse auf anderweitig rechtswidriges Verhalten der Betroffenen (hier: Verdacht auf § 310 StGB) ermöglichen, den in § 14 Abs. 4 DSG 2000 umschriebenen rechtmäßigen Kontrollzweck überschreitet. Der Text des § 14 Abs. 4 DSG 2000 stellt – wie bereits dargelegt – die Beschränkung des Verwendungszwecks von Protokolldaten unmissverständlich klar, insbesondere auch dadurch, dass er die wenigen zulässigen Erweiterungen des Verwendungszwecks ausdrücklich und abschließend anführt (vgl. den Bescheid der DSK vom 16. Dezember 2005 a.a.O).Festzuhalten ist, dass eine Analyse von Protokolldaten mit dem Zweck, nicht nur die Rechtmäßigkeit von Datenzugriffen zu überprüfen, sondern nach bestimmten Mustern im Verhalten der Zugriffsberechtigten zu suchen, die Schlüsse auf anderweitig rechtswidriges Verhalten der Betroffenen (hier: Verdacht auf Paragraph 310, StGB) ermöglichen, den in Paragraph 14, Absatz 4, DSG 2000 umschriebenen rechtmäßigen Kontrollzweck überschreitet. Der Text des Paragraph 14, Absatz 4, DSG 2000 stellt – wie bereits dargelegt – die Beschränkung des Verwendungszwecks von Protokolldaten unmissverständlich klar, insbesondere auch dadurch, dass er die wenigen zulässigen Erweiterungen des Verwendungszwecks ausdrücklich und abschließend anführt vergleiche den Bescheid der DSK vom 16. Dezember 2005 a.a.O). Im Unterschied zur durch den Beschwerdegegner genannten Entscheidung der DSK vom 21. Juni 2005, GZ K121.014/0008-DSK/2005, ging es im vorliegenden Fall nicht bloß um die Frage, ob die Heranziehung von Protokolldaten zur Kontrolle der Rechtmäßigkeit des Zugriffs zulässig war, um einem begründeten Verdacht einer gröblichen Dienstpflichtverletzung nachzugehen und um dadurch künftige unzulässige Zugriffe zu unterbinden (dies wurde ohnehin für zulässig erklärt, vgl. Punkt D.6.c.). Im Unterschied zur durch den Beschwerdegegner genannten Entscheidung der DSK vom 21. Juni 2005, GZ K121.014/0008-DSK/2005, ging es im vorliegenden Fall nicht bloß um die Frage, ob die Heranziehung von Protokolldaten zur Kontrolle der Rechtmäßigkeit des Zugriffs zulässig war, um einem begründeten Verdacht einer gröblichen Dienstpflichtverletzung nachzugehen und um dadurch künftige unzulässige Zugriffe zu unterbinden (dies wurde ohnehin für zulässig erklärt, vergleiche Punkt D.6.c.). Vielmehr ging es im vorliegenden Fall um die Frage, ob der Beschwerdegegner diese Protokolldaten zweckentfremdet verwendet hat und verwenden durfte, um den Verdacht der Begehung von Straftaten, insbesondere im Hinblick auf § 310 StGB, zu erforschen.Vielmehr ging es im vorliegenden Fall um die Frage, ob der Beschwerdegegner diese Protokolldaten zweckentfremdet verwendet hat und verwenden durfte, um den Verdacht der Begehung von Straftaten, insbesondere im Hinblick auf Paragraph 310, StGB, zu erforschen. D.7 Ergebnis Durch die beschriebene Zweckänderung der Datenverarbeitung lag eine Übermittlung im Sinne des § 4 Z 12 DSG 2000 vor. Durch die beschriebene Zweckänderung der Datenverarbeitung lag eine Übermittlung im Sinne des Paragraph 4, Ziffer 12, DSG 2000 vor. § 8 Abs. 4 DSG 2000 regelte abschließend, wann die Verwendung von „Strafdaten“ nicht gegen schutzwürdige Geheimhaltungsinteressen eines Betroffenen verstößt (vgl. dazu VwSlg. 18.498 A/2012).Paragraph 8, Absatz 4, DSG 2000 regelte abschließend, wann die Verwendung von „Strafdaten“ nicht gegen schutzwürdige Geheimhaltungsinteressen eines Betroffenen verstößt vergleiche dazu VwSlg. 18.498 A/2012). Der Beschwerdegegner vermochte keinen seine Vorgangsweise rechtfertigenden Tatbestand im Sinne des § 8 Abs. 4 DSG 2000 vorzuweisen.Der Beschwerdegegner vermochte keinen seine Vorgangsweise rechtfertigenden Tatbestand im Sinne des Paragraph 8, Absatz 4, DSG 2000 vorzuweisen. Durch unzulässige Verwendung der Protokolldaten für die Ermittlung hinsichtlich des Verdachtes auf § 310 StGB wurde daher im Ergebnis – ungeachtet des Umstandes, dass auf die Feststellung einer mangelnden Zugriffsberechtigung dienstrechtliche Konsequenzen gegründet werden können – in das Recht des Beschwerdeführers auf Geheimhaltung ihn betreffender personenbezogener Daten in unzulässiger Weise eingegriffen.Durch unzulässige Verwendung der Protokolldaten für die Ermittlung hinsichtlich des Verdachtes auf Paragraph 310, StGB wurde daher im Ergebnis – ungeachtet des Umstandes, dass auf die Feststellung einer mangelnden Zugriffsberechtigung dienstrechtliche Konsequenzen gegründet werden können – in das Recht des Beschwerdeführers auf Geheimhaltung ihn betreffender personenbezogener Daten in unzulässiger Weise eingegriffen. Vor diesem Hintergrund brauchte auf die seitens des Beschwerdeführers ins Treffen geführte Frage hinsichtlich der Zulässigkeit der Speicherdauer gemäß § 14 Abs. 5 DSG 2000 nicht mehr eingegangen werden.Vor diesem Hintergrund brauchte auf die seitens des Beschwerdeführers ins Treffen geführte Frage hinsichtlich der Zulässigkeit der Speicherdauer gemäß Paragraph 14, Absatz 5, DSG 2000 nicht mehr eingegangen werden. Im Ergebnis war daher spruchgemäß zu entscheiden. European Case Law IdentifierECLI:AT:DSB:2018:DSB.D216.697.0011.DSB.2018

🔗 Zur amtlichen Quelle

KI-Erklärung auf Basis des amtlichen Gesetzestextes. Orientierend, ersetzt keine Rechtsberatung.